“No se trató de una sola brecha aislada ni de un simple incidente de phishing. Los atacantes combinaron diversas técnicas, entre ellas... entrevistas de trabajo falsas, descargas de software malicioso”, declaró Binance en el informe difundido en sus redes sociales.
El origen del ataque: vulneración en la cadena de suministro en junioEl informe técnico de la plataforma señala que el primer movimiento de los hackers ocurrió en junio de 2026, cuando un ingeniero del equipo de desarrollo de billeteras buscaba una herramienta de programación basada en inteligencia artificial a través de un buscador de internet. Según una persona familiarizada con el incidente citada por la agencia Reuters, el software malicioso fue colocado estratégicamente dentro de un anuncio publicitario para figurar en los primeros lugares de búsqueda, lo que llevó al desarrollador a instalar sin saberlo una versión manipulada del programa.Binance asegura en su informe que su equipo de seguridad detectó la anomalía de inmediato, aisló el dispositivo del empleado y renovó todas las credenciales asociadas; no obstante -agrega la compañía-, el incidente dejó al descubierto el rol y la identidad del equipo encargado de la infraestructura de las billeteras digitales de la empresa. El engaño laboral: la fase de ingeniería social en septiembreEl informe de Binance indica que la segunda etapa de la campaña se puso en marcha en septiembre de 2026, cuando los atacantes contactaron a un segundo desarrollador de software a través de una plataforma profesional de búsqueda de empleo, donde el profesional especificaba su experiencia previa en la compañía.Los cibercriminales crearon una empresa ficticia y organizaron un proceso de selección falso en dos fases, puntualiza la empresa. Durante la primera ronda, realizada mediante videollamada, un supuesto representante de recursos humanos mostró perfiles activos en redes sociales con fotografías y videos personales para ganarse la confianza del trabajador.En la segunda entrevista, efectuada mediante una aplicación de mensajería con el falso director ejecutivo de la firma, se instó al ingeniero a descargar un archivo que supuestamente contenía una prueba técnica de evaluación.Binance explica que dicho archivo ejecutó un código malicioso de última generación que evadió los sistemas de protección del equipo informático.“Esto no debería haber ocurrido, y pedimos disculpas por la preocupación, las molestias y la incertidumbre que causó a nuestros usuarios, socios y a la industria en general”, lamentó la empresa en el comunicado publicado este martes. Infiltración mediante IA interna y ejecución de la sustracción en la red blockchainBinance detalló que los atacantes tomaron el control del equipo infectado del segundo desarrollador el último 20 de octubre y utilizaron una herramienta interna de inteligencia artificial de la plataforma como puente para acceder a las computadoras de otros dos ingenieros de la compañía. De acuerdo al informe, el ataque definitivo se desencadenó la noche del 29 de octubre, cuando los cibercriminales utilizaron credenciales robadas y operaron desde la computadora de un tercer desarrollador para ejecutar un script malicioso contra el servicio de firma de billeteras. Entre las 20:05 y las 20:09 UTC, los atacantes extrajeron 233,46 millones de tokens XRP desde cinco billeteras activas, al tiempo que desviaron 18.270 bitcoins (BTC), 970.500 solanas (SOL) y 44,2 millones de tokens Optimism (OP) en operaciones paralelas hacia direcciones bajo su control.De forma simultánea, los cibercriminales explotaron el protocolo de autorización EIP-7702 en la red Ethereum, un mecanismo que permite delegar derechos de ejecución a un contrato inteligente sin exponer la clave privada. Manipulando el código de la cuenta mediante 50 transacciones de firma, establecieron autorizaciones on-chain independientes que les permitieron continuar transfiriendo activos -incluidos 2961,9 ethers (ETH- hasta casi cuatro horas después del primer impacto, completando así la cifra récord de US$ 6.340 millones de dólares robados.Medidas de contención y respaldo financiero Binance informó que la respuesta de emergencia de la empresa incluyó la congelación de los retiros de los usuarios a nivel global y la coordinación con socios de la industria e investigadores de cadena de bloques, lo que permitió interceptar y congelar aproximadamente 2850 millones de dólares en activos digitales. Asimismo, confirmó que absorberá la totalidad del impacto económico del robo sin afectar el saldo de sus clientes, habiendo repuesto más del 98 % de los tokens afectados al cierre de octubre mediante sus fondos de reserva. El último 31 de octubre, la Oficina Federal de Investigación de Estados Unidos (FBI) atribuyó la autoría del ciberataque a grupos de ciberdelincuencia vinculados a Corea del Norte, señalamiento que fue rechazado tajantemente por el gobierno de Pyongyang.“La afirmación de Estados Unidos es una retórica absurda y no tiene nada de nuevo”, declaró Kim Yo-jong, alta funcionaria y hermana del líder norcoreano Kim Jong-un, a través de la agencia estatal de noticias de Corea del Norte, KCNA.
